Politique d'utilisation de l'IA : rédiger et faire adopter

Pourquoi encadrer l'usage de l'IA par vos salariés ?

Quatre obligations ou risques convergent : la maîtrise de l'IA exigée par le règlement européen, la fuite de données par les requêtes, le secret des affaires et le RGPD. Une politique d'utilisation de l'IA est la mesure organisationnelle qui répond aux quatre à la fois.

L'article 4 du règlement sur l'IA

L'article 4 du règlement (UE) 2024/1689 s'applique depuis le 2 février 2025 à tout fournisseur et à tout déployeur de systèmes d'IA, quel que soit le risque de l'outil. Le règlement (UE) 2026/1744, dit omnibus numérique sur l'IA, en vigueur depuis le 27 juillet 2026, l'a réécrit : fournisseurs et déployeurs « prennent des mesures pour favoriser le développement de la maîtrise de l'IA » de leur personnel, sans garantir un niveau déterminé par personne (texte consolidé de l'article 4, règlement 2026/1744).

L'obligation subsiste, comme obligation de moyens. La foire aux questions de la Commission européenne précise qu'aucun certificat n'est requis, qu'une entreprise dont les salariés utilisent un assistant conversationnel doit les informer de risques tels que les hallucinations, et que les autorités nationales la contrôlent depuis le 2 août 2026. Un document écrit et une sensibilisation en sont la preuve la plus simple.

Fuites de données, secret des affaires et RGPD

Ce qui est saisi dans un outil grand public peut servir à entraîner les modèles de l'éditeur, rappelle la fiche « précautions » publiée par la CNIL avec France Num et la CPME. Le secret des affaires ne protège une information que si son détenteur a pris des dispositions raisonnables pour la garder secrète (directive (UE) 2016/943, article 2) : l'interdiction écrite de la saisir dans un outil externe en fait partie. Enfin, dès qu'un salarié saisit des données personnelles de clients ou de collègues, l'entreprise en est responsable et l'éditeur devient le plus souvent son sous-traitant, avec un contrat relu par le DPO.

Que contient le document, chapitre par chapitre ?

Une politique d'utilisation de l'IA tient en huit chapitres courts : outils, données interdites, vérification des sorties, transparence, propriété intellectuelle, signalement, rôles, sanctions et révision. Chacun répond à une question qu'un salarié se pose devant l'outil.

Le chapitre transparence s'appuie sur l'article 50 du règlement sur l'IA, applicable depuis le 2 août 2026 (article 113) : les images, sons ou vidéos imitant des personnes ou des faits réels doivent être signalés comme artificiels, de même qu'un texte généré publié pour informer le public sur une question d'intérêt général, sauf relecture humaine sous responsabilité éditoriale.

Que recommande la CNIL sur l'IA générative ?

La CNIL demande aux organisations déployant une IA générative de lister les usages autorisés et interdits, de former les utilisateurs avant l'accès à l'outil et de ne pas confier de décision au système. Les règles suivantes se reprennent directement dans votre document.

• Les questions-réponses sur l'utilisation d'un système d'IA générative (18 juillet 2024) recommandent des comptes professionnels dédiés, la désactivation de la réutilisation des données quand l'éditeur le permet, des chartes internes listant les usages permis et prohibés, une formation préalable, un point de contact éthique et des contrôles réguliers.
• Les premières précisions sur le déploiement d'une IA générative conseillent d'associer le DPO, le responsable informatique et le RSSI, de partir d'un besoin concret et de ne pas fournir de données personnelles au système.
• Dans les fiches pratiques IA pour les TPE et PME, la fiche 4 invite à écrire les conditions d'usage, à ne partager que ce qui peut l'être et à garder la décision finale humaine.
• Les recommandations sur le développement des systèmes d'IA s'ajoutent si vous ajustez un modèle avec vos données ou le connectez à votre base documentaire.

Comment faire adopter la politique : CSE, règlement intérieur ou note ?

Une note informative se diffuse librement mais ne fonde pas une sanction ; une annexe au règlement intérieur rend les règles opposables, au prix de la procédure complète. Dans les deux cas, le CSE est associé.

D'après service-public.fr, le règlement intérieur suit une procédure fixe : avis du CSE, transmission à l'inspection du travail, dépôt au greffe du conseil de prud'hommes, publicité, puis entrée en vigueur au moins un mois après. Les notes de service posant des obligations générales et permanentes de discipline suivent les mêmes règles, quel que soit l'effectif. Une charte IA assortie de sanctions relève donc de cette procédure. Le CSE est aussi consulté sur l'introduction de nouvelles technologies modifiant les conditions de travail, ce qui vise une politique d'utilisation de l'IA déployée avec de nouveaux outils.

Si une charte RGPD interne est déjà annexée à votre règlement intérieur, ajoutez-y un chapitre IA et refaites la procédure sur cette modification. Sinon, un document autonome annexé convient.

1. 1Cartographier — Recenser les outils d'IA déjà utilisés, officiellement ou non, et les tâches concernées, service par service.
2. 2Rédiger — Écrire le document avec le DPO, le responsable informatique et un ou deux managers, à partir du plan type ci-dessous.
3. 3Consulter — Présenter le projet au CSE, recueillir son avis et en conserver la trace.
4. 4Formaliser — Annexer le texte au règlement intérieur ou le diffuser par note de service, avec les formalités de dépôt et de publicité.
5. 5Former — Organiser une sensibilisation courte par équipe et enregistrer les participants : c'est votre preuve au titre de l'article 4.
6. 6Réviser — Relire le document chaque année et à chaque nouvel outil.

Quel plan suivre ?

Le plan reprend les huit chapitres dans l'ordre où un salarié les lit. Une politique d'utilisation de l'IA complète tient en trois ou quatre pages.

1. Objet, périmètre et personnes concernées (salariés, intérimaires, stagiaires, prestataires)
2. Définitions : IA générative, outil intégré, requête, sortie
3. Outils autorisés, comptes et demande d'un nouvel outil
4. Informations jamais saisies, avec des exemples par service
5. Vérification des sorties et responsabilité de l'auteur
6. Transparence envers clients, candidats et public
7. Propriété intellectuelle et licences
8. Signalement des incidents et point de contact
9. Rôles : direction, DPO, informatique, référent IA, managers
10. Valeur juridique, sanctions, entrée en vigueur, révision

À retenir

• L'article 4 du règlement sur l'IA s'applique depuis le 2 février 2025 ; l'omnibus de juillet 2026 en fait une obligation de moyens, sans la supprimer.
• Le document fixe les outils autorisés, les données jamais saisies, la vérification des sorties, la transparence, la propriété intellectuelle, le signalement et les rôles.
• La CNIL recommande des comptes professionnels, des usages permis et interdits listés, une formation préalable et une décision finale humaine.
• Un texte assorti de sanctions suit la procédure du règlement intérieur, avis du CSE compris.